c# - 字符串中的双引号

Question

在 c# 中:我需要像这样创建 oracle 查询字符串:

string orQr = @"
    SELECT ""Date"", ""Key""
    FROM TBL
";

我需要动态地进行。但是转义双引号有一个问题。

该怎么做？这有点疯狂 ;-) 并且不起作用:

string quotes = @"""""";
string subSlct = quotes + "Date" + quotes + ", " + quotes + "Key" + quotes;
string orQrB = @"
    SELECT " + subSlct + @"
    FROM TBL
";

(结果是:SELECT\"\"Date\"\",\"\"Key\"\"\FROM TBL)

Answer 1

您的 quotes 变量添加了两个 双引号，而不是一个。改变这个:

string quotes = @"""""";

为此:

string quotes = @"""";

还有:

1. string.Format("SELECT\"{0}\",\"{1}\"FROM TBL", a, b); 没问题

2. 您的代码容易受到 SQL injection 的影响.

   通常，您会希望使用参数化查询，但由于这些不允许参数化列名，因此您至少希望自己清理输入并检查非法字符(例如， ;, --).